| Informe | 2026-0024 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto de Real Decreto de la Tarjeta Social Digital (TSD)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza el proyecto de Real Decreto que regula la Tarjeta Social Digital (TSD), un sistema de información compartida entre el Estado, las comunidades autónomas y las entidades locales para gestionar prestaciones sociales públicas. Aunque el proyecto se enmarca en la modernización administrativa y cumple con la habilitación legal de la Ley 6/2018, la AEPD identifica insuficiencias críticas en materia de protección de datos que podrían vulnerar el Reglamento General de Protección de Datos (RGPD) y la Constitución Española.
Principales hallazgos y recomendaciones
Base jurídica insuficiente y falta de precisión normativa
El proyecto se ampara en el artículo 6.1.e) del RGPD (misión de interés público) y en la Ley 6/2018, pero la AEPD considera que la regulación no delimita con suficiente detalle los elementos esenciales del tratamiento, como:
Las finalidades concretas del sistema.
Las categorías de datos tratados (incluyendo datos sensibles como discapacidad, dependencia o ingresos económicos).
Las entidades intervinientes y sus responsabilidades.
Los mecanismos de acceso y comunicación entre administraciones.
La AEPD recuerda que, según el Tribunal Constitucional y el TJUE, las limitaciones a derechos fundamentales (como la protección de datos) deben estar claramente definidas en la ley, sin delegar en desarrollos reglamentarios aspectos clave.
Tratamiento de datos sensibles sin garantías suficientes
La TSD incluye datos de salud (grado de discapacidad, dependencia) y situaciones socioeconómicas vulnerables (ingresos, prestaciones sociales), que son categorías especiales de datos según el artículo 9 del RGPD.
Aunque el proyecto alega el interés público (artículo 9.2.g RGPD), la AEPD señala que:
No se justifica por qué todos los datos son estrictamente necesarios.
No se detallan las garantías específicas para estos tratamientos, como:
Minimización de datos: ¿Por qué se recogen todos los ingresos fiscales en lugar de solo los relevantes para las prestaciones?
Seguridad reforzada: No se especifica cómo se protegerán estos datos frente a brechas masivas.
Transparencia: No se aclara cómo los ciudadanos podrán ejercer sus derechos (acceso, rectificación, supresión) en un sistema con múltiples responsables.
Falta de Evaluación de Impacto en Protección de Datos (EIPD)
La AEPD exige la realización de una EIPD (obligatoria según el artículo 35 del RGPD) debido a:
Tratamiento a gran escala de datos sensibles.
Interconexión de múltiples administraciones (riesgo de accesos excesivos o reutilización indebida).
Automatización de consultas (servicios web síncronos y asíncronos).
Sin esta evaluación, no se pueden identificar ni mitigar los riesgos asociados al sistema, como:
Discriminación por el uso de datos socioeconómicos.
Fraude por duplicidades en prestaciones.
Brechas de seguridad en un sistema centralizado.
Gobernanza y responsabilidades difusas
El Instituto Nacional de la Seguridad Social (INSS) actúa como responsable principal, pero:
Las comunidades autónomas y mutualidades no están claramente definidas como encargadas del tratamiento ni como corresponsables.
No hay un protocolo de coordinación entre entidades para garantizar:
Trazabilidad de los accesos.
Supervisión de los tratamientos.
Respuesta ágil en caso de incidentes.
La AEPD recomienda establecer:
Reglas claras de acceso («need to know»).
Mecanismos de auditoría para evitar usos indebidos.
Canales unificados para que los ciudadanos ejerzan sus derechos sin complejidad burocrática.
Riesgos en funcionalidades clave
Consultas ciudadanas (artículo 12): No se detallan salvaguardas para evitar accesos indebidos o filtraciones en canales digitales.
Accesos interadministrativos (artículo 13): Riesgo de consultas masivas no justificadas o reutilización de datos para fines distintos.
Servicios web automatizados (artículo 15): Podrían facilitar tratamientos desproporcionados o usos secundarios no previstos.
Transferencias internacionales (artículo 16): La mención a transferencias dentro de la UE es imprecisa y no cumple con el Capítulo V del RGPD.
Medidas de seguridad insuficientes
Aunque el proyecto remite al Esquema Nacional de Seguridad (ENS), la AEPD advierte que:
El ENS no es suficiente para garantizar la protección de datos en un sistema tan complejo.
Se necesitan medidas adicionales como:
Autenticación reforzada (doble factor).
Segmentación de redes para evitar propagación de brechas.
Copias de seguridad aisladas y cifradas.
Protocolos de respuesta a incidentes coordinados entre todas las entidades.
Conclusión y recomendaciones finales
La AEPD no rechaza el proyecto, pero exige modificaciones sustanciales para garantizar el cumplimiento del RGPD y la Constitución. Las principales exigencias son:
Incorporar una EIPD que analice riesgos y proponga medidas mitigadoras.
Delimitar con precisión las finalidades, categorías de datos y entidades intervinientes.
Reforzar las garantías para datos sensibles (salud, ingresos, dependencia).
Establecer una arquitectura de gobernanza clara con protocolos de coordinación entre administraciones.
Detallar las funcionalidades (consultas, accesos, servicios web) con salvaguardas específicas.
Garantizar el ejercicio efectivo de derechos mediante una «ventanilla única» operativa.
Implementar medidas técnicas avanzadas (autenticación, segmentación, monitorización).
La AEPD subraya que, sin estos ajustes, el sistema podría generar riesgos graves para los derechos de los ciudadanos, especialmente en colectivos vulnerables (personas con discapacidad, menores, familias en pobreza). Por ello, recomienda suspender la aprobación del Real Decreto hasta que se subsanen estas carencias.
En resumen: El informe de la AEPD es un aviso contundente sobre los riesgos de un sistema de datos masivo sin las garantías jurídicas y técnicas necesarias. La solución pasa por una regulación más estricta, mayor transparencia y un enfoque de privacidad desde el diseño.